Kibernetinės atakos prieš verslą: ar debesija gali tapti priešnuodžiu?

Naujienos apie pavogtus ir nutekintus vartotojų duomenis, paskirstytųjų paslaugų trikdymo (DDoS) atakas bei kitus programišių išpuolius veja viena kitą, o kiek dar įsilaužimų nepasiekia viešumos, galima tik spėlioti. Nors kibernetinių atakų taikiniu gali tapti bet kuris verslas, tačiau pasirūpinti saugumu skuba retas. Viena iš efektyvių priemonių verslui, siekiančiam užtikrinti solidų IT saugumo lygį, yra skaitmeninių sprendimų perkėlimas į viešąjį debesį.

Asociatyvi „Pixabay“ nuotr.

„Be tokių dažnai linksniuojamų aspektų, kaip lankstumas, patogumas ir patikimumas, debesija taip pat pasižymi saugumu. Ir verslas tai išties vertina: Jungtinių Valstijų programinės įrangos ir IT konsultacijų kompanijos „Flexera“ duomenimis, įmonės vis dažniau renkasi laikyti jautrius duomenis debesyje. Tai atskleidžia augantį pasitikėjimą, kad debesijos paslaugų teikėjai gali užtikrinti tinkamą saugumo lygį. Tiesa, jis nėra besąlyginis, taip pat priklauso ne tik nuo paslaugų teikėjo, bet ir nuo klientų. Todėl svarbu suprasti, ką užtikrina paslaugos teikėjas, o ką valdyti privalu klientui“, – sako „Baltic Amadeus“ Debesijos paslaugų vystymo vadovas Robertas Skardžius.

Debesijoje – saugiau nei įmonės įrenginyje

Debesijoje talpinamų duomenų saugumas priklauso nuo įvairių elementų, pradedant jos pobūdžiu (viešoji, privati ar hibridinė debesija), programine įranga ir paslaugų teikėjo patikimumu, baigiant paslaugų nustatymais, prieigos valdymo politika bei vartotojų sąmoningumu. Daugiau elementų leidžia sukurti saugesnę terpę duomenims laikyti nei asmeninis įmonės kompiuteris. Nepaisant to, siekiant užtikrinti visapusišką saugumą yra būtina laikytis geriausių infrastruktūros architektūros praktikų ir gamintojų rekomendacijų. Visgi R. Skardžius pabrėžia, kad daugeliu atvejų vardiklis tas pats: debesijoje duomenys yra saugesni nei asmeniniame ar įmonės įrenginyje.

„Taip yra dėl vienos paprastos priežasties – siekdami apsaugoti savo klientų duomenis debesijos paslaugų teikėjai išnaudoja naujausias kompleksines kibernetinio saugumo priemones, ką paprastiems vartotojams padaryti ne visada pavyksta. Paprastas pavyzdys: kada paskutinį kartą savo kompiuteryje ar telefone diegėte operacinės sistemos, naudojamų programų atnaujinimus? Daug žmonių juos tiesiog ignoruoja, tuo tarpu debesijos paslaugų teikėjams tai yra vienas iš prioritetų“, – pastebi R. Skardžius.

Tad kuo dar, be nuolatinių atnaujinimų diegimo, pasirūpina debesijos paslaugų teikėjas? Pirma, fizine sauga: serveriai įprastai yra laikomi skirtinguose duomenų centruose, kurių prieigos saugomos ir stebimos, įrengti elektros, ryšio, aušinimo dubliavimo sprendimai. Tai leidžia užtikrinti, kad duomenys būtų apsaugoti fiziškai ir išliktų pasiekiami bet kuriuo metu.

Antra, teikėjas rūpinasi, kad debesiją sudaranti įranga – serveriai, duomenų masyvai, tinklo infrastruktūra – būtų tinkamai paruošta, prižiūrima ir atnaujinama. Šios priemonės užtikrina, kad debesijos fundamentą kurianti įranga nebūtų panaudota kaip spraga patekti į infrastruktūrą piktavaliams programišiams.

Trečia, programinės įrangos, sukuriančios debesijos abstrakcijos lygį, kontrolė ir priežiūra. Priklausomai nuo naudojamo debesijos tipo, teikėjo atsakomybės lygis gali skirtis, tačiau iš esmės augantis PaaS (angl. platform as a service) ir SaaS (angl. software as a service) debesijos tipai pasižymi tuo, kad pagrindinė saugumo kontrolė valdoma teikėjo.

Vis dažniau debesijos paslaugų teikėjai stabiliam darbui ir srautų stebėsenai pasitelkia dirbtinį intelektą. Speciali programinė įranga, naudodama algoritmus, ieško galimų pažeidžiamumų, anomalijų ir kitų įtarimą keliančių signalų, kurie gali kelti pavojų IT saugumui.

„Renkantis debesijos paslaugas vertėtų pasidomėti, kokias papildomas saugumo priemones paslaugų teikėjas taiko, pavyzdžiui, trečiųjų šalių saugumo testai. Jų metu nusamdyti išorinių saugumo kompanijų specialistai reguliariai tikrina serverius ir programinę įrangą, ieškodami potencialių spragų, kuriomis galėtų pasinaudoti programišiai“, – teigia „Baltic Amadeus“ ekspertas.

Kaip padidinti debesijos saugumą?

Kad ir kaip užtikrintai debesijos paslaugų teikėjai rūpinasi fizine sauga, technine ir programine įranga, svarbu nepamiršti, kad to nepakanka visapusiškam duomenų saugumui užtikrinti. Tai toli gražu yra ne viskas apie ką turi pagalvoti klientai.

Standartiškai klientai turi pasirūpinti IT sistemų identifikavimo ir prieigos valdymu, duomenų šifravimu vartotojų aplinkoje, duomenų apsauga siunčiant juos tinklu bei kliento vartotojų duomenų apsauga. Tuo pačiu yra svarbu užtikrinti vartotojų edukaciją bei jų tinkamų įpročių formavimą.

Už ką tiksliai atsako klientas priklauso nuo pasirinkto debesijos sprendimų tipo. Pavyzdžiui, SaaS atveju, didesnė saugos dalis tenka paslaugų teikėjui, o klientas prisiima atsakomybę už duomenis. Tuo tarpu PaaS ar IaaS debesijos sprendimai yra lankstesni, todėl daugiau atsakomybės lieka ant kliento įgijusio debesijos paslaugas pečių. Pastaruosius du tipus dažniausiai renkasi specifinių poreikių turinčios bendrovės, kurios privalo turėti reikiamas kompetencijas bei priemones saugai įgyvendinti“, – teigia R. Skardžius.

Apibendrindamas jis pateikia kelis patarimus, padedančius užtikrinti įmonės naudojamų debesijos paslaugų saugumą:

• Pasidomėkite nustatymais. Jei debesijos paslaugų teikėjas leidžia aktyvuoti saugumą didinančias priemones, naudokitės jomis. Valdykite prieigas, nepalikite viešai pasiekiamų aplankų ir būtinai pakeiskite numatytuosius slaptažodžius.
• Šifruokite duomenis ir ryšį. Rinkitės paslaugų teikėją, kurio serveriuose duomenys yra šifruojami, o prie jautrius duomenis saugančių sistemų junkitės tik per VPN.
• Turėkite atsarginę kopiją. Reguliariai daromos duomenų atsarginės kopijos leis operatyviai atstatyti verslo sistemas ir užtikrinti veiklos tęstinumą, kas benutiktų.
• Edukuokite darbuotojus. Patvirtinimas dviem veiksmais, stiprūs ir periodiškai keičiami slaptažodžiai, naudojamų įrenginių (kompiuterių, telefonų) apsauga nuo virusų bei kitų kenkėjų, programinės įrangos atnaujinimų diegimas – šios ir kitos bazinės kibernetinio saugumo žinios būtinos kiekvienam, turinčiam prieigą prie įmonės debesijos.

„Deja, nuo programišių nėra apsaugotas niekas – jie visada ieško naujų spragų, pažeidžiamumų ir atakų taikinių, todėl įmonės turi būti pasiruošusios. Geroji žinia yra ta, kad pasirinkę patikimus IT paslaugų partnerius niekada nebūsite palikti vieni“, – reziumuoja „Baltic Amadeus“ ekspertas.